AWS 管理控制台 Root 用户登录

编辑

AWS 管理控制台 Root 用户登录

编辑

识别 Root 用户成功登录 AWS 管理控制台。

规则类型: 查询

规则索引:

filebeat-*
logs-aws.cloudtrail-*

严重性: 中等

风险评分: 47

每隔: 10 分钟

搜索索引自: now-60m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考资料:

https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html

标签:

领域：云
数据源：AWS
数据源：Amazon Web Services
数据源：AWS 登录
用例：身份和访问审计
资源：调查指南
策略：初始访问

版本: 209

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查 AWS 管理控制台 Root 用户登录

AWS 根帐户是拥有对帐户中所有 AWS 服务和资源的完全访问权限的唯一身份，它是在创建 AWS 帐户时创建的。AWS 强烈建议您不要将根用户用于日常任务，即使是管理任务也不例外。相反，请遵循最佳实践，仅使用根用户创建您的第一个 IAM 用户。然后安全地锁存根用户凭据，并仅使用它们执行一些帐户和服务管理任务。AWS 提供了需要根用户的任务列表。

此规则查找尝试以 Root 用户身份登录 AWS 管理控制台的情况。

可能的调查步骤

调查过去 48 小时内与用户帐户关联的其他告警。
通过查看日志中的过去事件，检查此活动在环境中是否常见。
考虑发出命令的调用用户的源 IP 地址和地理位置。它们对于调用用户来说是否正常？
检查帐户在过去 24 小时内执行的命令、API 调用和数据管理操作。
联系帐户所有者并确认他们是否知道此活动。
如果您怀疑帐户已被入侵，请通过跟踪帐户在过去 24 小时内访问的服务器、服务和数据来确定可能受影响的资产。

误报分析

如果此操作是在变更管理下进行的，并且根据组织执行需要此权限级别的任务的策略获得批准，则可以忽略此告警。

响应和补救

根据分类结果启动事件响应流程。
确定事件的可能影响并相应地设置优先级；以下操作可以帮助您了解上下文
确定帐户在云环境中的角色。
确定所涉及的服务或服务器的关键程度。
与您的 IT 团队合作，确定并最大限度地减少对用户的影响。
确定攻击者是否正在横向移动并入侵其他帐户、服务器或服务。
确定此活动是否存在任何监管或法律影响。
为用户配置多因素身份验证。
遵循 AWS概述的安全最佳实践。
使用事件响应数据，更新日志记录和审计策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

设置

编辑

需要 AWS Fleet 集成、Filebeat 模块或结构类似的数据才能与此规则兼容。

规则查询

编辑

event.dataset:aws.cloudtrail and event.provider:signin.amazonaws.com and event.action:ConsoleLogin and aws.cloudtrail.user_identity.type:Root and event.outcome:success

框架: MITRE ATT&CK^TM

策略
- 名称：初始访问
- ID：TA0001
- 参考网址：https://attack.mitre.org/tactics/TA0001/
技术
- 名称：有效帐户
- ID：T1078
- 参考网址：https://attack.mitre.org/techniques/T1078/
策略
- 名称：持久性
- ID：TA0003
- 参考网址：https://attack.mitre.org/tactics/TA0003/
技术
- 名称：有效帐户
- ID：T1078
- 参考网址：https://attack.mitre.org/techniques/T1078/

« AWS 管理控制台 Root 用户身份暴力破解 AWS RDS 集群创建 »